Der Angriff auf Suno erfolgte laut 404 Media im November 2025 über eine Supply-Chain-Attacke: Ein Hacker erlangte die Zugangsdaten eines Mitarbeiters und gelangte so an den Quellcode des Unternehmens. Die darin enthaltenen Hinweise deuten darauf hin, dass Suno gezielt Jahrzehnte an Audiomaterial von Plattformen wie YouTube Music, Deezer, Genius, Stock-Musik-Bibliotheken und Podcast-RSS-Feeds gescrapt hat. Suno hatte zwar eingeräumt, sein KI-Modell auf „öffentlich verfügbaren Musikdateien" aus dem offenen Internet zu trainieren, berief sich dabei aber auf die Fair-Use-Doktrin des US-Urheberrechts. Die klagenden Major-Labels sehen das anders: Nach dem Digital Millennium Copyright Act (DMCA) ist das gezielte Umgehen von Scraping-Schutzmaßnahmen auf YouTube explizit verboten – unabhängig vom Fair-Use-Argument. Auch Sunos Konkurrent Udio steht unter dem Verdacht, YouTube-Daten abgegriffen zu haben. Parallel dazu ist Googles Mutterkonzern Alphabet, der YouTube betreibt, selbst mit Vorwürfen des Urheberrechtsverstoßes durch Buchverlage konfrontiert. Der Datenschutzverstoß ist ebenfalls gravierend: Der Hacker erbeutete Kundendaten inklusive E-Mail-Adressen, Telefonnummern und teilweiser Kreditkartennummern über Stripe – Suno informierte die betroffenen Nutzer jedoch nicht und bezeichnete den Vorfall als „begrenzten Sicherheitsvorfall, der schnell eingedämmt wurde".